Ergebnisbericht
Vernehmlassung 2021/26: Totalrevision der Verordnung zum Bundesgesetz über den Datenschutz (VDSG) · 90 Seiten
Fedlex · Ergebnisbericht · Seite 18Fedlex · Ergebnisbericht
Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)
tensicherheit zu sorgen. H+ ist der Auffassung, dass punktuelle Pflichten zur Protokollierung durchaus sinnvoll sein können (bspw. zur Auswertung von Logs zu Analysezwecken). GL begrüsst die Einführung «strengerer Anforderungen» in Absatz 2. Dies stärke das Vertrauen in die Bearbeitung von Personendaten durch öffentliche Organe, und durch die Protokollierungspflicht werde eine wirksame Kontrolle erst ermöglicht. Schliesslich dürfte der Protokollierungspflicht auch eine gewisse präventive Wirkung zukommen.
Der Artikel wird auch von sehr vielen Teilnehmenden kritisiert. Die Hauptkritik bezieht sich auf die fehlende gesetzliche Grundlage und den Präzisierungsbedarf. Gemäss mehreren Teilnehmenden118 behandelt Artikel 8 nDSG die Datensicherheit im engeren Sinn und bietet keine hinreichende Grundlage für die Protokollierungspflicht. Ausserdem komme der Begriff «Protokollierung» nur in der Verordnung vor, im nDSG hingegen nicht – im Gegensatz zum Bundesgesetz vom 25. September 2015 über den Nachrichtendienst119 oder zum Bundesgesetz vom 28. Juni 1967 über die Eidgenössische Finanzkontrolle120. In diesem Sinn wird die Protokollierungspflicht, die auch in der DSGVO nicht vorkommt, als Swiss Finish betrachtet. Die Protokollierungspflicht generiere einen erheblichen Zusatzaufwand. So wird gefordert, den Artikel, zumindest für den Privatbereich, zu streichen.121 Mit der Einführung der DSFA und dem Verzeichnis der Bearbeitungstätigkeiten wird die Protokollierung als verzichtbare Doppelspurigkeit betrachtet. Eine Protokollierungspflicht widerspräche ferner dem Willen des Gesetzgebers.122 Gemäss H+ ist eine pauschale Norm zur Protokollierungspflicht unverhältnismässig.
Mehrere Teilnehmende123 merken an, dass die Protokollierung zum Zweck hat, dass in Situationen, in denen ein unberechtigtes Bearbeiten von Personendaten nicht zum vornherein technisch ausgeschlossen werden kann, ein unberechtigtes Bearbeiten im Nachhinein festgestellt werden kann. Mithin ergebe sich der Bedarf an der Protokollierung aus der Risikobeurteilung und der Massnahmenplanung. Ein hypothetisches Risiko sei weder hinreichend noch verhältnismässig. Dies sei im Rahmen der Abklärungen gemäss einem angepassten Artikel 1 zu ermitteln. Dabei sei zu betonen, dass die Protokollierung erforderlich ist, wenn die technischen bzw. organisatorischen Massnahmen nicht ausreichend greifen. Im erläuternden Bericht sei festgehalten, dass durch die Protokollierung die Schutzziele nach Artikel 2 erreicht werden können. Im Übrigen solle präzisiert werden, ob eine Protokollierung eingerichtet werden muss, wenn keine DSFA durchgeführt wurde. Einige Teilnehmende124 erachten eine Protokollierung als genügend, wenn sonst nicht nachträglich festgestellt werden kann, ob die Da-
118 Kanton: ZH; Organisationen: AFBS, AGVS, AIS, ASPS, asut, auto schweiz, Coop, Creditreform, curafutura, CURAVIVA.CH, Datenschutzguide.ch, DFS, die Inlandbanken, die Post, digitalswitzerland, economiesuisse, EKK, EXPERTsuisse, H+, HANDELSVERBAND.swiss, HKBB, HotellerieSuisse, IGEM, INSOS, Migros, PBS, Raiffeisen, rega, Ringier, RVS, santésuisse, SAV, SBB, SBVg, Scienceindustries Switzerland, SDV, senesuisse, sgv, SLV, SNB, SPA, SPITEX Schweiz, SSV, suva, SVV, SWICO, Swiss Insights, Swissholdings, swissICT, Swissstaffing, thurbo, veb.ch, VöV, vsi, VSP, VUD, Walderwyss. Die ÖDSB vertritt die Meinung, dass der Bezug zwischen dem nDSG und der Verordnung nicht immer einfach zu verstehen oder gar widersprüchlich ist; Partei: Die Mitte.
119 NDG, SR 121, insb. Art. 78 Abs. 5.
120 FKG, SR 614.0, insb. Art. 10 Abs. 3.
121 Organisationen: AGVS, auto schweiz, HotellerieSuisse, SLV, Swiss Insights.
122 Organisationen: AGVS, asut, auto schweiz, Bär & Karrer, Coop, Creditreform, die Inlandbanken, die Post, digitalswitzerland, economiesuisse, EKK, EXPERTsuisse, H+, HANDELSVERBAND.swiss, HKBB, IGEM, Migros, PBS, Raiffeisen, rega, Ringier, RVS, santésuisse, SBB, SBVg, Scienceindustries Switzerland, SDV, sgv, SLV, SNB, suva, SWICO, Swiss Insights, Swissholdings, thurbo, VöV, vsi, VSP, VUD, Walderwyss.
123 Kantone: AG, AR, BE, GL, GR, NW, VD, ZH; Organisationen: Coop, Datenschutzbeauftragter SZ/OW/NW, die Inlandbanken, die Post, digitalswitzerland, economiesuisse, FMH, FRC, H+, HKBB, IGEM, kantonaler Datenschutz- und Öffentlichkeitsbeauftragter von NE/JU, Migros, privatim, Raiffeisen, Ringier, santésuisse, SAV, SBB, SBVg, Scienceindustries Switzerland, SDV, SFF, suva, thurbo, VöV, VUD, Walderwyss.
124 Organisationen: AGVS, auto schweiz, Bär & Karrer, SLV, Swiss Insights.